从我在网站上看到的许多帖子来看,通过AJAX或传统表单进行的登录同样安全。(参考:登录/会话cookie、Ajax和安全性 Ajax登录和JavaScript cookie,这是安全的吗?)
我的问题是:
如果我在将用户密码发送到服务器之前(通过客户端/JavaScript哈希库)对其进行哈希处理,是否可以增加防止窃听的安全性?
如果我放置一个表单令牌(一个基于随机数,另一个基于时间),是否可以防止跨站请求伪造攻击?
- 经过这一切后,我是否已经覆盖了所有基础?这个表单是否安全?
从我在网站上看到的许多帖子来看,通过AJAX或传统表单进行的登录同样安全。(参考:登录/会话cookie、Ajax和安全性 Ajax登录和JavaScript cookie,这是安全的吗?)
我的问题是:
如果我在将用户密码发送到服务器之前(通过客户端/JavaScript哈希库)对其进行哈希处理,是否可以增加防止窃听的安全性?
如果我放置一个表单令牌(一个基于随机数,另一个基于时间),是否可以防止跨站请求伪造攻击?
大多数人在登录时不实现CSRF保护。毕竟,攻击者首先必须知道密码,因此“会话劫持”是无意义的。
https
前缀和证书的有效性。否则,有人可能使用sslstrip
进行中间人攻击,不知情的用户会泄露他们的凭据。 - Polynomialx-frame-options
和http_only
技巧,但是出于你所指出的原因,我没有提到它们 :) - Polynomial如果攻击者知道你使用的哈希算法,那么他们可以破解它。如果你想添加盐,则必须将其发送到浏览器,攻击者可能会拦截它。使用时间作为盐也行不通,因为时间相对较短,所以他们也可以解决这个问题。